Autorisations pour utiliser l'inférence interrégionale avec Amazon Bedrock Guardrails

L'utilisation de l'inférence interrégionale avec Amazon Bedrock Guardrails nécessite d'ajouter des autorisations spécifiques à votre rôle IAM, notamment d'autoriser l'accès aux profils de garde-corps dans d'autres régions.

Autorisations permettant de créer et de gérer des barrières de sécurité pour l'inférence interrégionale

Utilisez la politique IAM suivante pour créer, afficher, modifier et supprimer un garde-corps utilisant un profil de garde-corps spécifique. Vous n'avez besoin de ces autorisations que pour appeler un point de terminaison du plan de contrôle Amazon Bedrock.

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAndManageGuardrails",
            "Effect": "Allow",
            "Action": [
                "bedrock:CreateGuardrail",
                "bedrock:UpdateGuardrail",
                "bedrock:DeleteGuardrail",
                "bedrock:GetGuardrail",
                "bedrock:ListGuardrails"
            ],
            "Resource": [
                "arn:aws:bedrock:us-east-1:123456789012:guardrail/*",
                "arn:aws:bedrock:us-east-1:123456789012:guardrail-profile/guardrail-profile-id"
            ]
        }
    ]
}

Autorisations pour invoquer des garde-corps avec inférence interrégionale

Lorsque vous invoquez un garde-corps avec inférence interrégionale, vous avez besoin d'une politique IAM qui spécifie les régions de destination définies dans votre profil de garde-corps.

{
    "Effect": "Allow",
    "Action": ["bedrock:ApplyGuardrail"],
    "Resource": [
        "arn:aws:bedrock:us-east-1:account-id:guardrail/guardrail-id",
        "arn:aws:bedrock:us-east-1:account-id:guardrail-profile/us.guardrail.v1:0",
        "arn:aws:bedrock:us-east-2:account-id:guardrail-profile/us.guardrail.v1:0",
        "arn:aws:bedrock:us-west-2:account-id:guardrail-profile/us.guardrail.v1:0"
    ]
}

Cet exemple de politique spécifie les ressources suivantes :

• Le garde-corps que vous invoquez dans votre région source (dans ce cas,). us-east-1

• Les régions de destination définies dans le profil de garde-corps que vous utilisez (dans ce cas,us.guardrail.v1:0). Pour plus d'informations sur les régions de destination à spécifier dans votre politique, consultez les profils de garde-corps disponibles.